Приложение 1. Положение об организации обработки и обеспечения безопасности персональных данных в Министерстве цифрового развития и связи Алтайского края

Приложение 1

Утверждено
приказом Министерства
цифрового развития и связи
Алтайского края
от 29.12.2021 N 95

Положение
об организации обработки и обеспечения безопасности персональных данных в Министерстве цифрового развития и связи Алтайского края

I. Общие положения

1.1. Положение об организации обработки и обеспечения безопасности персональных данных в Министерстве цифрового развития и связи Алтайского края (далее - "Положение") определяет цели, содержание и порядок обработки персональных данных, сроки их обработки и хранения, порядок уничтожения персональных данных при достижении целей обработки или при наступлении иных законных оснований, меры, направленные на защиту персональных данных, а также процедуры, направленные на выявление и предотвращение нарушений законодательства Российской Федерации в области персональных данных в Министерстве цифрового развития и связи Алтайского края (далее - "Министерство").

1.2. Положение определяет политику Министерства как оператора, осуществляющего обработку персональных данных, в отношении обработки и защиты персональных данных.

Обработка персональных данных в Министерстве осуществляется с соблюдением принципов и условий, предусмотренных Положением и законодательством Российской Федерации в области персональных данных.

1.3. Министерство, как оператор, осуществляет обработку персональных данных, определяет цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.

1.4. Понятия и термины, используемые в Положении, применяются в соответствии со значениями понятий и терминов, определенными Федеральным законом от 27.07.2006 N 152-ФЗ "О персональных данных" и принятыми в соответствии с ним нормативными правовыми актами.

1.5. В Министерстве персональные данные обрабатываются в целях:

1.5.1. реализации служебных или трудовых отношений;

1.5.2. выполнения возложенных на Министерство функций, полномочий и обязанностей;

1.5.3. осуществления статистических или иных исследовательских целей, за исключением целей, указанных в статье 15 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных".

1.6. К категориям субъектов, персональные данные которых обрабатываются в соответствии с Положением, относятся:

1.6.1. государственные гражданские служащие Министерства (далее - "государственные служащие"), работники Министерства, замещающие должности, не являющиеся должностями государственной гражданской службы (далее - "работники"), руководители подведомственных организаций, граждане, претендующие на замещение вакантных должностей государственной гражданской службы в Министерстве (далее - "государственная служба"), должностей, не являющихся должностями государственной службы, должностей руководителей подведомственных организаций, а также члены их семей;

1.6.2. граждане, в том числе являющиеся представителями организаций, обратившиеся в Министерство в связи с исполнением возложенных на Министерство функций, полномочий и обязанностей (далее - "государственные функции"), а также в связи с реализацией их права на обращение в Министерство в соответствии с Федеральным законом от 02.05.2006 N 59-ФЗ "О порядке рассмотрения обращений граждан Российской Федерации" (далее - "граждане", "заявители");

1.6.3. лица, представляемые к награждению (поощрению), в отношении которых в Министерство внесены ходатайства о награждении (поощрении).

1.7. В целях реализации служебных или трудовых отношений в Министерстве обрабатываются персональные данные субъектов, указанных в подпункте 1.6.1 пункта 1.6 Положения, перечисленные в пунктах 1-40 перечня персональных данных, обрабатываемых в Министерстве цифрового развития и связи Алтайского края (далее - "Перечень"), утвержденного настоящим приказом.

1.8. В целях выполнения возложенных на Министерство государственных функций обрабатываются персональные данные субъектов, указанных в подпунктах 1.6.2 и 1.6.3 пункта 1.6 Положения, перечисленные в пунктах 1, 3-6, 8-12, 17, 19, 31, 40 Перечня.

1.9. В статистических или иных исследовательских целях, за исключением целей, указанных в статье 15 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных", обрабатываются персональных данные, перечисленные в пунктах 1-40 Перечня.

Обработка персональных данных в статистических или иных исследовательских целях осуществляется при условии обязательного обезличивания персональных данных.

II. Условия и порядок обработки персональных данных в связи с реализацией служебных или трудовых отношений

2.1. Персональные данные государственных служащих и работников, граждан, претендующих на замещение должностей государственной службы, должностей, не являющихся должностями государственной службы, лиц, замещающих должности руководителей подведомственных Министерству организаций, а также граждан, претендующих на замещение должностей руководителей подведомственных Министерству организаций, обрабатываются в целях реализации служебных или трудовых отношений, в том числе в следующих целях:

содействия государственным служащим в прохождении государственной службы (работникам, руководителям подведомственных Министерству организаций, в целях содействия выполнению работы);

формирования кадрового резерва государственной службы;

обучения и должностного роста;

учета результатов исполнения государственными служащими и работниками, лицами, замещающими должности руководителей подведомственных Министерству организаций, должностных (трудовых) обязанностей;

обеспечения государственным служащим и работникам Министерства установленных законодательством Российской Федерации условий труда, гарантий и компенсаций;

противодействия коррупции.

2.2. Обработка персональных данных государственных служащих и работников, граждан, претендующих на замещение должностей государственной службы Министерства, должностей, не являющихся должностями государственной службы, лиц, замещающих должности руководителей подведомственных Министерству организаций, а также граждан, претендующих на замещение должностей руководителей подведомственных Министерству организаций, осуществляется без согласия указанных лиц в рамках целей, определенных пунктом 2.1 Положения, в соответствии с пунктом 2 части 1 статьи 6 и частью 2 статьи 11 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных" и положениями Трудового кодекса Российской Федерации, Федерального закона от 27.07.2004 N 79-ФЗ "О государственной гражданской службе Российской Федерации", Федерального закона от 25.12.2008 N 273-ФЗ "О противодействии коррупции".

2.3. Обработка специальных категорий персональных данных (определенных частью 1 статьи 10 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных") государственных служащих и работников, граждан, претендующих на замещение должностей государственной службы Министерства, должностей, не являющихся должностями государственной службы, лиц, замещающих должности руководителей подведомственных Министерству организаций, а также граждан, претендующих на замещение должностей руководителей подведомственных Министерству организаций, осуществляется без согласия указанных лиц в рамках целей, определенных пунктом 2.1 Положения, в соответствии с подпунктом 2.3 пункта 2 части 2 статьи 10 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных" и положениями Трудового кодекса Российской Федерации, за исключением случаев получения персональных данных у третьей стороны.

2.4. Обработка персональных данных государственных служащих и работников, граждан, претендующих на замещение должностей государственной службы Министерства, должностей, не являющихся должностями государственной службы, лиц, замещающих должности руководителей подведомственных Министерству организаций, а также граждан, претендующих на замещение должностей руководителей подведомственных Министерству организаций, осуществляется при условии получения согласия указанных лиц в следующих случаях:

2.4.1. при передаче (распространении, предоставлении, доступе) персональных данных третьим лицам в случаях, не предусмотренных действующим законодательством Российской Федерации в области персональных данных;

2.4.2. при трансграничной передаче персональных данных;

2.4.3. при получении персональных данных у третьей стороны;

2.4.4. при обработке биометрических персональных данных, за исключением случаев, предусмотренных частью 2 статьи 11 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных".

2.5. В случаях, предусмотренных пунктом 2.4 Положения, согласие субъекта персональных данных оформляется в письменной форме, если иное не установлено Федеральным законом от 27.07.2006 N 152-ФЗ "О персональных данных". Согласие на обработку персональных данных, разрешенных субъектом персональных данных для распространения, должно оформляться отдельно от иных согласий субъекта персональных данных на обработку его персональных данных и соответствовать требованиям к содержанию согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения, утвержденным приказом Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций от 24.02.2021 N 18.

2.6. Обработка персональных данных государственных служащих и работников, граждан, претендующих на замещение должностей государственной службы Министерства, должностей, не являющихся должностями государственной службы, лиц, замещающих должности руководителей подведомственных Министерству организаций, а также граждан, претендующих на замещение должностей руководителей подведомственных Министерству организаций, осуществляется отделом правовой, кадровой и организационно-контрольной работы Министерства (далее - "кадровое подразделение Министерства") и отделом финансово-хозяйственной деятельности Министерства и включает в себя следующие действия: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

2.7. Сбор, запись, систематизация, накопление и уточнение (обновление, изменение) персональных данных государственных служащих и работников, граждан, претендующих на замещение должностей государственной службы Министерства, должностей, не являющихся должностями государственной службы, лиц, замещающих должности руководителей подведомственных Министерству организаций, а также граждан, претендующих на замещение должностей руководителей подведомственных Министерству организаций, осуществляется путем:

2.7.1. получения оригиналов необходимых документов (заявление, трудовая книжка и (или) сведения о трудовой деятельности на бумажном носителе, заверенные надлежащим образом, или в форме электронного документа, подписанного усиленной квалифицированной электронной подписью, автобиография, иные документы, предоставляемые в кадровое подразделение Министерства);

2.7.2. копирования оригиналов документов;

2.7.3. внесения сведений в учетные формы (на бумажных и электронных носителях);

2.7.4. формирования персональных данных в ходе кадровой работы;

2.7.5. внесения персональных данных в информационные системы персональных данных.

2.8. Сбор, запись, систематизация, накопление и уточнение (обновление, изменение) персональных данных осуществляется путем получения персональных данных непосредственно от государственных служащих и работников, граждан, претендующих на замещение должностей государственной службы Министерства, должностей, не являющихся должностями государственной службы, лиц, замещающих должности руководителей подведомственных Министерству организаций, а также граждан, претендующих на замещение должностей руководителей подведомственных Министерству организаций.

2.9. Получение персональных данных государственного служащего или работника либо лица, замещающего должность руководителя подведомственной Министерству организации, у третьей стороны допускается при условии получения их письменного согласия. Указанные лица извещаются об этом заранее с указанием целей, предполагаемых источников и способов получения персональных данных, а также характера подлежащих получению персональных данных и последствий отказа указанных лиц дать письменное согласие на их получение.

2.10. Запрещается получать, обрабатывать и приобщать к личному делу государственного служащего или работника либо лица, замещающего должность руководителя подведомственной Министерству организации персональные данные, не предусмотренные пунктом 2.2 Положения, в том числе касающиеся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, интимной жизни.

2.11. При сборе персональных данных сотрудник кадрового подразделения Министерства, осуществляющий сбор (получение) персональных данных непосредственно от государственных служащих и работников, граждан, претендующих на замещение должностей государственной службы Министерства, должностей, не являющихся должностями государственной службы, лиц, замещающих должности руководителей подведомственных Министерству организаций, а также граждан, претендующих на замещение должностей руководителей подведомственных Министерству организаций, обязан разъяснить указанным субъектам персональных данных юридические последствия отказа предоставить их персональные данные.

2.12. Передача (распространение, предоставление) и использование персональных данных государственных служащих и работников, граждан, претендующих на замещение должностей государственной службы Министерства, должностей, не являющихся должностями государственной службы, лиц, замещающих должности руководителей подведомственных Министерству организаций, а также граждан, претендующих на замещение должностей руководителей подведомственных Министерству организаций, осуществляется только в случаях и в порядке, предусмотренных федеральными законами.

III. Условия и порядок обработки персональных данных в связи с выполнением возложенных на Министерство функций, полномочий и обязанностей

3.1. В Министерстве обработка персональных данных физических лиц осуществляется в целях исполнения возложенных на Министерство государственных функций, а также в связи с реализацией их права на обращение в Министерство в соответствии с Федеральным законом от 02.05.2006 N 59-ФЗ "О порядке рассмотрения обращений граждан Российской Федерации".

3.2. Персональные данные граждан, обратившихся в Министерство лично, а также направивших индивидуальные или коллективные письменные обращения или обращения в форме электронного документа, обрабатываются в целях рассмотрения указанных обращений с последующим уведомлением заявителей о результатах рассмотрения.

В соответствии с законодательством Российской Федерации в Министерстве подлежат рассмотрению обращения граждан Российской Федерации, иностранных граждан и лиц без гражданства.

3.3. Персональные данные граждан обрабатываются в Министерстве в объеме, необходимом и достаточном для выполнения государственных функций в соответствии с Федеральным законом от 02.05.2006 N 59-ФЗ "О порядке рассмотрения обращений граждан Российской Федерации" и иными нормативными правовыми актами, регулирующими сферу деятельности Министерства.

3.4. Обработка персональных данных, необходимых в связи с выполнением возложенных на Министерство государственных функций, осуществляется без согласия субъектов персональных данных в соответствии с пунктом 4 части 1 статьи 6 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных", Федеральным законом от 02.05.2006 N 59-ФЗ "О порядке рассмотрения обращений граждан Российской Федерации" и иными нормативными правовыми актами, определяющими исполнение государственных функций в установленной сфере деятельности Министерства.

3.5. Обработка персональных данных, необходимых в связи с исполнением государственных функций, осуществляется структурными подразделениями Министерства, исполняющими соответствующие государственные функции, и включает в себя следующие действия: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

3.6. Сбор, запись, систематизация, накопление и уточнение (обновление, изменение) персональных данных осуществляется путем получения персональных данных непосредственно от субъектов персональных данных (заявителей).

3.7. При исполнении государственных функций государственным служащим и работникам Министерства запрещается запрашивать у субъектов персональных данных и третьих лиц, а также обрабатывать персональные данные в случаях, не предусмотренных законодательством Российской Федерации.

3.8. При сборе персональных данных уполномоченное должностное лицо структурного подразделения Министерства, осуществляющее получение персональных данных непосредственно от субъектов персональных данных, обратившихся в связи с исполнением Министерством государственной функции, обязано разъяснить указанным субъектам персональных данных юридические последствия отказа предоставить персональные данные.

3.9. Передача (распространение, предоставление, доступ) и использование персональных данных субъектов персональных данных осуществляется только в случаях и в порядке, предусмотренных федеральными законами.

3.10. Обработка персональных данных лиц, представляемых к награждению (поощрению), в отношении которых в Министерство внесены ходатайства о награждении (поощрении), осуществляется в целях и по основаниям, предусмотренным приказом Министерства от 18.04.2019 N 54 "О наградах и поощрениях Министерства цифрового развития и связи Алтайского края".

IV. Организация обработки и обеспечения безопасности персональных данных в информационных системах Министерства

4.1. Обработка персональных данных в Министерстве может осуществляться с использованием информационных систем персональных данных.

4.2. Перечень информационных систем персональных данных Министерства цифрового развития и связи Алтайского края (далее также - "ИСПДн Министерства") утверждается приказом Министерства в соответствии с подпунктом "б" пункта 1 постановления Правительства Российской Федерации от 21.03.2012 N 211 "Об утверждении перечня мер, направленных на обеспечение выполнения обязанностей, предусмотренных Федеральным законом "О персональных данных" и принятыми в соответствии с ним нормативными правовыми актами, операторами, являющимися государственными или муниципальными органами".

4.3. Обработка персональных данных в целях выполнения возложенных на Министерство государственных функций, а также реализации служебных или трудовых отношений может осуществляться с использованием иных информационных систем персональных данных, оператором которых Министерство не является.

4.4. Государственным служащим и работникам Министерства, имеющим право осуществлять обработку персональных данных в информационных системах персональных данных, предоставляется уникальный логин и пароль для доступа к соответствующей информационной системе.

4.5. Информация вносится в информационные системы персональных данных в автоматизированном либо ручном режиме (при получении информации на бумажном носителе или в ином виде, не позволяющем осуществлять ее автоматическую регистрацию).

4.6. Обеспечение безопасности персональных данных, обрабатываемых в ИСПДн Министерства, достигается путем исключения несанкционированного, в том числе случайного, доступа к персональным данным, а также принятия следующих мер по обеспечению безопасности:

4.6.1. определение угроз безопасности персональных данных при их обработке в ИСПДн Министерства;

4.6.2. применение организационных и технических мер по обеспечению безопасности персональных данных при их обработке в ИСПДн Министерства, необходимых для выполнения требований к защите персональных данных, исполнение которых обеспечивает установленные Правительством Российской Федерации уровни защищенности персональных данных;

4.6.3. применение прошедших в установленном законодательством Российской Федерации порядке процедур оценки соответствия средств защиты информации;

4.6.4 оценка эффективности принимаемых мер по обеспечению безопасности персональных данных до ввода в эксплуатацию ИСПДн Министерства;

4.6.5. учет машинных носителей персональных данных;

4.6.6. обнаружение фактов несанкционированного доступа к персональным данным и принятие мер, в том числе мер по обнаружению, предупреждению и ликвидации последствий компьютерных атак на информационные системы персональных данных и по реагированию на компьютерные инциденты в них;

4.6.7. восстановление персональных данных, модифицированных или удаленных, уничтоженных вследствие несанкционированного доступа к ним;

4.6.8. установление правил доступа к персональным данным, обрабатываемым в ИСПДн Министерства, а также обеспечение регистрации и учета всех действий, совершаемых с персональными данными в информационных системах персональных данных;

4.6.9. контроль за принимаемыми мерами по обеспечению безопасности персональных данных и уровня защищенности ИСПДн Министерства.

4.7. Обеспечение безопасности персональных данных, обрабатываемых в иных информационных системах персональных данных, используемых Министерством в целях выполнения возложенных на Министерство государственных функций, а также реализации служебных или трудовых отношений, организуется с учетом требований, предъявляемых операторами таких систем к обеспечению информационной безопасности.

4.8. Меры, указанные в пункте 4.6 Положения, реализуются ответственными структурными подразделениями Министерства в соответствии с принятыми локальными правовыми актами и положениями действующего законодательства Российской Федерации.

V. Особенности обработки и обеспечения безопасности персональных данных, осуществляемой без использования средств автоматизации

5.1. Персональные данные, предоставляемые субъектами на бумажном носителе в связи с реализацией Министерством служебных или трудовых отношений либо выполнения возложенных на Министерство государственных функций, хранятся на бумажных носителях в структурных подразделениях Министерства, к полномочиям которых относится обработка персональных данных в соответствии с положениями об этих структурных подразделениях.

5.2. Персональные данные при их обработке, осуществляемой без использования средств автоматизации, должны обособляться от иной информации, в частности, путем фиксации их на разных материальных носителях, в специальных разделах или на полях форм (бланков).

5.3. Должно обеспечиваться раздельное хранение персональных данных на разных материальных носителях, обработка которых осуществляется в различных целях, определенных Положением.

5.4. При хранении материальных носителей должны соблюдаться условия, обеспечивающие сохранность персональных данных и исключающие несанкционированный доступ к ним.

5.5. Контроль за хранением и использованием материальных носителей персональных данных, в целях недопущения несанкционированного использования, уточнения, распространения и уничтожения персональных данных, находящихся на этих носителях, осуществляют руководители структурных подразделений Министерства.

5.6. Лица, осуществляющие обработку персональных данных без использования средств автоматизации, должны быть проинформированы о факте неавтоматизированной обработки ими персональных данных, категориях обрабатываемых персональных данных, а также ознакомлены с особенностями и правилами осуществления такой обработки, установленными законодательством Российской Федерации в области персональных данных, а также Положением.

VI. Сроки обработки и хранения персональных данных

6.1. Персональные данные, полученные Министерством на бумажном и (или) электронном носителях, хранятся в соответствующих структурных подразделениях Министерства, к полномочиям которых относится обработка персон